Wdrożenie AI w firmie: od czego zacząć, żeby uniknąć wycieku danych

Wtorek, kwadrans po ósmej. Handlowiec wkleił do ChatGPT umowę z nowym klientem, bo chciał w dwie minuty wyciągnąć z niej terminy płatności i kary. Konto prywatne, bo firmowego nikt mu nie dał. Piętro niżej księgowa wrzuciła do Gemini paczkę faktur kosztowych, żeby je opisać i rozbić na konta. W dziale planowania ktoś wkleił do Claude'a grafik zmian i stan magazynu i poprosił o ułożenie tygodnia. Wszystko działało. Oferty, raporty i plany powstawały szybciej niż rok wcześniej, a zarząd był z grubsza zadowolony. Tylko że wszyscy w firmie, od prezesa po stażystę, czuli, że coś tu jest nie tak. Nikt tylko nie wiedział, co z tym zrobić, więc nikt nic nie robił.

Tak wyglądał początek wdrożenia AI u jednego z naszych klientów, firmy produkcyjno-handlowej na sto dwadzieścia osób, z działem handlowym, księgowością, planowaniem produkcji i magazynem, zanim ktokolwiek nazwał to wdrożeniem. Przykład złożyliśmy z kilku naszych wdrożeń i zmieniliśmy szczegóły, więc nikt się w nim nie rozpozna, choć wielu się w nim przejrzy. Ten artykuł pokazuje wdrożenie AI w firmie w takiej kolejności, w jakiej powinno się odbyć: najpierw to, co działo się po cichu, i dlaczego zakaz nic nie dał, potem mapa popytu i dwie zasady, a dalej pięć warstw, z których każda opiera się na poprzedniej. Na końcu wrócimy do tego samego wtorku, rok później. Jeśli nie wiesz jeszcze, czym agent różni się od asystenta i chatbota, zacznij od artykułu Agent AI, asystent czy chatbot?.

Ucz się na błędach liderów

W marcu 2023 roku dział półprzewodników Samsunga pozwolił inżynierom używać ChatGPT. Według koreańskiego tygodnika Economist Korea w ciągu około dwudziestu dni zdarzyły się trzy incydenty: dwóch inżynierów wkleiło do ChatGPT kod źródłowy z prośbą o poprawki i optymalizację, a trzeci wrzucił zapis wewnętrznego spotkania, żeby zrobić z niego protokół. Samsung ostrzegł pracowników, że dane trafiły na zewnętrzne serwery i nie da się ich odzyskać, ograniczył długość promptu do 1024 bajtów, a w maju, jak podał Bloomberg, zakazał narzędzi generatywnych na sprzęcie firmowym. Pół roku później pokazał własny model do użytku wewnętrznego. Dane opuściły firmę, trafiły do dostawcy bez umowy o powierzeniu i według ówczesnych zasad mogły posłużyć do trenowania modelu. Samsung nie stracił konkretnego projektu. Stracił coś gorszego dla każdego prezesa: pewność, gdzie są jego dane.

Jeśli lider rynku z własnym działem bezpieczeństwa stracił tę pewność w trzy tygodnie, nie ma powodu sądzić, że firma na sto osób jest odporniejsza. Tym bardziej, że od tamtej pory rozmowy z asystentami AI wyciekały wiele razy bez udziału pracowników, przez zwykłe błędy i funkcje dostawców. W marcu 2023 błąd w bibliotece pamięci podręcznej ChatGPT pokazał części użytkowników tytuły rozmów innych osób, a niektórym także dane płatnicze. W styczniu 2025 badacze z firmy Wiz znaleźli otwartą, niezabezpieczoną hasłem bazę DeepSeeka z ponad milionem linii logów, w tym historią czatów. Pod koniec 2025 firma Koi Security pokazała, że rozszerzenie przeglądarki Urban VPN, z około sześcioma milionami użytkowników, przechwytywało rozmowy z ChatGPT, Claude'em, Gemini i Copilotem i wysyłało je do firmy powiązanej z brokerem danych. Pracownik nie musi zrobić nic złego, żeby umowa, którą wkleił, wylądowała w cudzych rękach.

Pytanie do Ciebie i do Twojej firmy nie brzmi więc, czy Twoi pracownicy używają ChatGPT, Gemini albo innych narzędzi AI, za Twoją zgodą albo bez niej. Używają. Badanie Cisco z 2024 roku na ponad dwóch i pół tysiącach specjalistów od bezpieczeństwa pokazało, że prawie połowa firm przyznała, że pracownicy wprowadzali do narzędzi generatywnych niepubliczne informacje firmy, a w badaniu PagerDuty z 2026 roku, na ponad tysiącu pracowników dużych firm, dwie trzecie zadeklarowało, że używa AI wbrew polityce firmy, i co trzeci wklejał dane klientów do publicznych narzędzi. Te liczby pochodzą z dużych korporacji za granicą i nie opisują polskiego MŚP, ale mechanizm jest ten sam. Pytanie brzmi, czy wiesz, gdzie są dziś Twoje umowy, i czy masz pewność, że do dostawców AI nie trafia to, co trafić nie powinno: szczegóły Twoich projektów, dane pracowników i klientów, warunki umów, parametry realizacji zleceń.

Dlaczego zakaz nie zadziała

Pierwszy odruch zarządu po takiej lekturze to zakaz. Samsung też tak zrobił i skończył budową własnego modelu, bo zakaz nie usuwa potrzeby, tylko przenosi ją na telefon prywatny. W tym samym badaniu Cisco ponad jedna czwarta firm przyznała, że zakazała narzędzi generatywnych przynajmniej czasowo, a dane i tak płynęły. Ludzie używają tego, co działa, a jeśli firma im tego nie da, znajdą sami.

Jest też drugi powód, dla którego zakaz jest złą odpowiedzią. To samo narzędzie, ChatGPT, Gemini czy Claude, na koncie prywatnym i na koncie firmowym to dwa różne produkty. Na prywatnym koncie Twoje rozmowy mogą domyślnie trafiać do trenowania modeli, chyba że sam to wyłączysz. Anthropic zmienił tak zasady dla kont konsumenckich w sierpniu 2025, z retencją do pięciu lat przy zgodzie, a Google zastrzega, że rozmowy w konsumenckim Gemini mogą czytać ludzie i że te przejrzane są trzymane do trzech lat. Na kontach firmowych, w planach Team, Enterprise i przez API, ci sami dostawcy domyślnie nie trenują na Twoich danych, podpisują umowę o powierzeniu przetwarzania i dają kontrolę nad retencją. Problem nie leży więc w marce narzędzia. Leży w tym, przez jakie konto i na jakiej umowie pracownik go używa. Handlowiec z początku tego tekstu nie zrobił nic złego. Skorzystał z tego, co było pod ręką, bo firma nie dała mu odpowiednich narzędzi.

Mapa popytu: od czego zacząć wdrożenie AI w firmie

Zarząd naszego klienta wybrał więc inną drogę. Zamiast zakazu ogłosił dwie rzeczy. Po pierwsze, przez najbliższy tydzień każdy zapisuje zadania, które powtarza więcej niż trzy razy dziennie albo które zajmują mu ponad godzinę. Po drugie, zarząd pyta wprost i bez konsekwencji: kto do czego używa dziś ChatGPT i podobnych narzędzi. Druga lista okazała się ciekawsza od pierwszej.

Po tygodniu na stole leżało kilkanaście procesów z trzech działów. Handlowcy wyciągali z umów terminy i kary, pisali oferty na podstawie starych ofert i streszczali korespondencję z klientem przed spotkaniem. Księgowość opisywała faktury kosztowe, parowała je z zamówieniami i odpowiadała na pytania działów o budżet. Planowanie układało tygodniowy plan produkcji z zamówień, stanów magazynu, dostępności części i grafiku, a potem przeliczało go trzy razy, bo zawsze coś się zmieniało. Wyszło też coś, co francuska firma doradcza Ethanolle policzyła u swoich klientów: w stu siedemdziesięciu siedmiu z czterystu czterdziestu siedmiu spotkań tematem był arkusz prowadzony obok głównego systemu. U naszego klienta planista też miał taki arkusz na pulpicie, bo ERP nie umiał policzyć tego, co on liczył co poniedziałek.

Lista zastosowań AI po cichu pokrywała się z listą powtarzalnych zadań prawie jeden do jednego. To nie przypadek. Tam, gdzie ludzie już wklejają coś do ChatGPT z prywatnego konta, jest proces z realnym popytem, zmierzonym nie ankietą, lecz ryzykiem, które pracownicy już podejmowali, często w dobrej wierze, a czasem po prostu po to, żeby skończyć wcześniej. W tej kalkulacji bezpieczeństwo danych firmy przegrywa z wygodą regularnie, i to nie jest zarzut, tylko fakt. Doradcy traktują shadow AIShadow AIUżywanie przez pracowników narzędzi AI poza wiedzą i kontrolą firmy, zwykle z prywatnych kont. Analogia do shadow IT, czyli nieautoryzowanego oprogramowania. wyłącznie jako zagrożenie. My traktujemy je także jako najtańszą analizę potrzeb, jaką firma kiedykolwiek zrobiła.

Z kilkunastu procesów zarząd wybrał trzy, po jednym na dział: umowy u handlowców, faktury kosztowe w księgowości i plan produkcji u planisty. Kryteria były proste: jasna potrzeba, szybki wynik, inwestycja proporcjonalna do korzyści i poparcie ludzi, którzy będą tego używać. Do tego jedno pytanie, które rzadko pojawia się w ofertach: czy to w ogóle zadanie dla agenta, czy dla zwykłej automatyzacji. Sztywne reguły w rodzaju "każda faktura od tego dostawcy trafia na to konto" obsłuży tańsza i pewniejsza automatyzacja bez modelu językowego. Agent jest potrzebny tam, gdzie zadanie wymaga researchu i osądu, a ryzyko da się kontrolować. Jak policzyć, czy automatyzacja się opłaca, opisaliśmy w artykule Kiedy automatyzacja jest warta swojej ceny. Sebastian Kondracki, współtwórca polskiego modelu Bielik, mówił na konferencji SET Forum, że ponad osiemdziesiąt procent projektów AI pada przez źle dobrany przypadek użycia. Tydzień notowania kosztuje mniej niż jeden nieudany projekt.

Dwie zasady, zanim ruszy pierwszy proces

Zanim u klienta ruszył pierwszy agent, zarząd przyjął dwie zasady, które obowiązują we wszystkich pięciu warstwach opisanych dalej. Obie brzmią oczywiście i obie są w większości wdrożeń pomijane.

Pierwsza: każdy proces ma właściciela z imienia i nazwiska. Nie "dział", nie "IT", lecz pracownika, który odpowiada za ten proces, bo to on potrafi ocenić, czy agent podjął właściwą decyzję na podstawie danych i zadania, które dostał. IT odpowiada za to, żeby system działał: żeby agent nie zajmował całej pamięci, nie zacinał się i nie spowalniał komputerów, i działy IT robią to codziennie, bez niczyjej prośby. Właściciel procesu nie odpowiada za błędy agenta. Odpowiada za to, żeby je wyłapać, skorygować i zapisać, bo każda korekta jest lekcją. To ważniejsze, niż brzmi, bo w większości firm nikt nie jest właścicielem błędów AI. Sukces ma wielu ojców, a porażka jest sierotą, i z błędami agentów jest tak samo: bez przypisanej osoby nikt ich nie zbiera i nie koryguje, problemy narastają, a wdrożenie, które zaczynało się sympatycznie, kończy się katastrofą.

Druga zasada to człowiek w pętliHuman in the loopZasada, według której wynik pracy agenta ogląda i zatwierdza człowiek, zanim wywoła skutek. Na początku wdrożenia dotyczy każdej akcji, potem kontrola jest luzowana w miarę spadku błędów.. Każdy proces, w którym pracuje agent, zwłaszcza krytyczny, ma od pierwszego dnia wbudowane miejsce, w którym człowiek ogląda wynik, poprawia go albo odrzuca. Nie dlatego, że agentowi nie wolno ufać, lecz dlatego, że zbiór tych poprawek jest najcenniejszym materiałem całego wdrożenia: z niego firma uczy się, jak agent ma pracować, i do tego wrócimy w warstwie piątej. Nie dotyczy to prostych, deterministycznych zadań w rodzaju "przenieś plik do folderu z datą z nazwy", bo to automatyzacja, nie agent. Dotyczy zadań wymagających osądu, i te na początku są zatwierdzane bez wyjątku. Dopiero gdy odsetek błędów spada do poziomu, który właściciel procesu uznaje za akceptowalny, kontrolę można luzować: zamienić zatwierdzanie na kontrolę wyrywkową, sprawdzać rzadziej, oddać ją mniej doświadczonej osobie albo dobudować mechanizmy, które odciążają pracownika pilnującego swoich agentów. Jak to wygląda w praktyce, przy ERP i prawdziwych decyzjach, pokazuje warstwa trzecia.

Pięć warstw wdrożenia AI w firmie

Dopiero z mapą popytu, właścicielami procesów i zasadą człowieka w pętli zaczyna się właściwe wdrożenie AI w firmie. Składa się z pięciu warstw, układanych po kolei, bo każda następna opiera się na poprzedniej. Poniżej wszystkie pięć w skrócie, a dalej każda osobno, na przykładzie naszego klienta.

Warstwa pierwsza: ludzie, zasady i miejsce agenta

Pierwsza warstwa jest najtańsza i najszybsza, a mimo to większość firm ją pomija, bo wydaje się za prosta, żeby się liczyć. Składa się z trzech decyzji organizacyjnych i jednej architektonicznej.

Pierwsza decyzja to konto firmowe z umową. Każdy, kto dziś używa ChatGPT, Gemini czy Claude'a do pracy, dostaje konto w planie firmowym, z umową o powierzeniu przetwarzania danych i z wyłączonym trenowaniem. Dla handlowca zmienia się jedno kliknięcie przy logowaniu, dla firmy zmienia się wszystko, bo od tej chwili wie, gdzie są jej dane i na jakich warunkach. To jedyna zmiana w całym wdrożeniu, którą można zrobić w jeden dzień, i jeśli firma zatrzyma się tylko na niej, i tak będzie w lepszym miejscu niż Samsung w marcu 2023.

Druga to polityka AI na jedną stronę. Nie dwanaście sekcji z klauzulami, lecz cztery poziomy danych (jawne, wewnętrzne, poufne, regulowane), lista tego, czego nie wkleja się nigdzie poza narzędziami z warstwy drugiej (dane osobowe klientów i pracowników, niepublikowane finanse, kod, wszystko objęte tajemnicą zawodową), lista dozwolonych i zakazanych zastosowań, i jedno zdanie o decyzjach: żadna decyzja o zatrudnieniu, wynagrodzeniu, kredycie kupieckim czy reklamacji nie jest podejmowana na podstawie samego wyniku AI. Ten dokument ma też skutek prawny: tajemnica przedsiębiorstwa chroni tylko informacje, wobec których firma podjęła działania, żeby utrzymać je w poufności, a firma bez zasad korzystania z AI będzie miała trudniej to udowodnić, gdy przyjdzie co do czego.

Trzecia to czempion w każdym dziale. Nie etat, lecz rola: jedna osoba w handlu, jedna w księgowości, jedna w planowaniu, która jako pierwsza dostaje nowe narzędzie, zbiera pytania kolegów i jest łącznikiem z osobą prowadzącą wdrożenie. Francuski ubezpieczyciel MAIF przed wdrożeniem AI zwołał konwencję trzydziestu losowo wybranych pracowników, którzy przygotowali rekomendacje dla zarządu, a sąd w Nanterre zawiesił w 2025 roku wdrożenie, które pominęło obowiązkową we Francji konsultację z radą pracowników. W Polsce to nie obowiązek, tylko dobry zwyczaj, i zdecydowanie tańszy niż bunt.

Gdzie pracuje agent, a gdzie model

Czwarta decyzja jest architektoniczna i mało kto o niej pisze: agent ma pracować u pracownika, a nie w zakładce przeglądarki. "U pracownika" znaczy na jego komputerze albo na jego własnej, dedykowanej maszynie: niedrogim mini PC za kilkaset złotych postawionym obok biurka, maszynie wirtualnej w infrastrukturze firmy albo serwerze wynajętym u dostawcy chmury. Taka maszyna pracuje całą dobę, trzyma dane, których agent potrzebuje, i nie obciąża laptopa, który pracownik może zamknąć i zabrać do domu, podczas gdy jego agenci dalej pracują.

Słowo "lokalny" jest przy tym nadużywane, bo dotyczy dwóch różnych rzeczy: miejsca, w którym działa agent, i miejsca, w którym działa model. Stąd trzy warianty. W pierwszym agent i pliki są u pracownika, a model jest w chmurze, przez konto firmowe z umową. To dziś najczęstszy i najrozsądniejszy wariant, bo agent widzi foldery, pocztę i dokumenty tak, jak widzi je pracownik, a do chmury wysyła tylko to, co trzeba. W drugim zarówno agent, jak i model działają w firmie, i tu trzeba liczyć uczciwie. Małe modele, na przykład polski Bielik, uruchomisz na skromnym serwerze, ale ich ograniczenia wobec modeli z najlepszych laboratoriów będą widoczne w codziennej pracy. Duże modele otwarte, takie jak Kimi, Qwen czy DeepSeek, stoją jakością blisko czołówki, ale wymagają serwerów z wieloma kartami graficznymi za setki tysięcy złotych i ludzi, którzy je utrzymają. Mimo to są firmy, dla których ten wariant się opłaca, bo przy dużej skali własny model wychodzi taniej niż rachunek za tokeny. W trzecim wariancie wszystko jest u dostawcy, czyli czat w przeglądarce, i z niego firma klienta właśnie wychodziła. Francuski regulator CNIL już w 2024 roku radził firmom preferować systemy lokalne, zabezpieczone i wyspecjalizowane, ale wybór między wariantem pierwszym i drugim zależy od tego, jak wrażliwe dane przetwarzasz, ile ich jest i ile jesteś gotów zapłacić za sprzęt.

Pierwszy agent handlowca u klienta działał w wariancie pierwszym i robił tylko dwie rzeczy: czytał i streszczał. Dostawał folder z umowami klienta i korespondencją, przygotowywał notatkę przed spotkaniem, wyciągał terminy i kary. Nie wysyłał maili, nie zmieniał niczego w CRM, nie dotykał cennika. To było celowe, bo agent, który tylko czyta, nie może zrobić szkody, a firma uczy się na nim, zanim da mu narzędzia z warstwy trzeciej. Był tylko jeden problem: umowa, którą agent czyta, ma w sobie nazwę klienta, kwoty, adres i numer NIP, i wszystko to trafia do chmury. Z konta firmowego bezpieczniej niż z prywatnego, ale nadal trafia. Dlatego potrzebna jest warstwa druga.

Warstwa druga: do modelu trafia sama treść

To jest warstwa, od której zaczyna się poważne wdrożenie AI w firmie, i jednocześnie ta, o której doradcy mówią najmniej. Przeszukaliśmy to, co o wdrażaniu AI piszą doradcy i regulatorzy po polsku, angielsku, francusku i hiszpańsku, i rada wobec danych wrażliwych jest wszędzie ta sama: nie wysyłaj ich. Ta rada wyklucza właśnie te procesy, które dają firmie najwięcej: faktury, umowy, reklamacje, listy klientów. U naszego klienta wszystkie trzy wybrane procesy były pełne danych wrażliwych. Albo więc firma zrezygnuje z wartości, albo zbuduje warstwę, która pozwoli pracować na prawdziwych dokumentach, nie wysyłając prawdziwych danych.

Ta warstwa to pseudonimizacjaPseudonymizationZastąpienie danych identyfikujących zastępnikami w taki sposób, że bez osobno przechowywanego klucza nie da się ich przypisać do osoby ani firmy. W RODO dane pseudonimizowane nadal są danymi osobowymi. z przywracaniem. Działa tak. Zanim umowa opuści firmę, program (nie model językowy, zwykły, deterministyczny program) wykrywa w niej nazwy kontrahentów, kwoty, adresy, numery NIP, PESEL, REGON, KRS i numery kont, i zamienia je na zastępniki: KONTRAHENT_1, KWOTA_3, ADRES_2. Tabela, która mówi, że KONTRAHENT_1 to konkretna spółka z Radomia, zostaje w systemach firmy, w ERP, CRM albo na jej serwerze, z którymi narzędzie pseudonimizacji jest połączone, zaszyfrowana i poza zasięgiem modelu. Do chmury wysyłana jest umowa, w której widać strukturę, warunki, ryzyka, kary i terminy, ale nie widać, kogo dotyczy ani o jakie pieniądze chodzi. Model robi swoją pracę na tej treści. Odpowiedź wraca z zastępnikami, a program podstawia z powrotem prawdziwe dane, osobno dla tej jednej umowy. Handlowiec widzi notatkę z nazwą klienta i kwotami. Model nigdy ich nie widział.

Co odróżnia to od rozwiązania zrobionego byle jak

Trzy rzeczy. Po pierwsze, klucz zostaje w firmie i tylko firma potrafi powiązać zastępniki z prawdziwymi kontrahentami i procesami. Chmurowe usługi wykrywające dane osobowe wymagają wysłania im surowego tekstu, czyli przenoszą problem do kolejnego dostawcy. Anonimizacja musi odbywać się w firmie, i tylko wtedy ma sens. Po drugie, przywracanie jest przypięte do dokumentu i do uprawnień. Tabela zastępników dla umowy numer 1174 służy tylko do tej umowy i tylko dla osób, które mają prawo tę umowę widzieć. Księgowa, która dostanie od agenta raport z tej samej paczki dokumentów, zobaczy w nim prawdziwe kwoty, bo ma do nich prawo, ale nie zobaczy danych kadrowych, bo nie ma. Ten mechanizm łączy warstwę drugą z trzecią. Po trzecie, przyziemnie: narzędzia zza oceanu nie znają polskich danych. Nie rozpoznają numeru PESEL ani NIP, gubią się na polskich adresach i odmianie nazw spółek, a filtr prywatności jednego z dużych dostawców sam przyznaje, że poza angielskim działa słabiej. Dla polskiej firmy oznacza to własne narzędzie, przynajmniej w warstwie wykrywania.

Uczciwe zastrzeżenia

Ci, którzy tę warstwę opisują technicznie, podają trzy zastrzeżenia i mają rację. Pierwsze: dane pseudonimizowane są w rozumieniu RODO nadal danymi osobowymi, dopóki istnieje klucz, który pozwala je odtworzyć. Warstwa realizuje zasadę minimalizacji i radykalnie zmniejsza ryzyko, ale nie wyprowadza firmy poza RODO i nie zwalnia z umowy o powierzeniu z dostawcą modelu, bo treść nadal do niego trafia. Trybunał Sprawiedliwości UE orzekł we wrześniu 2025, że dla odbiorcy bez klucza dane pseudonimizowane mogą nie być danymi osobowymi, co jest argumentem za architekturą "klucz zostaje w firmie", a nie za tym, że problem znika. Drugie: detektor to czujnik, nie mur. Żaden program nie wykryje wszystkiego, a kontekst potrafi zdradzić tożsamość nawet po zamianie nazw, bo "producent okien z Radomia, który w zeszłym roku kupił halę w Pionkach" to jedna firma, choć nie ma w tym zdaniu żadnej nazwy. Dlatego warstwa druga nie zastępuje klasyfikacji danych i konta firmowego z pierwszej, tylko na nich stoi. Trzecie: trzeba logować przypadki, w których model zmienił albo zgubił zastępnik w odpowiedzi, bo to główny sposób, w jaki ta warstwa się psuje.

Warstwa trzecia: agent dotyka systemów firmy

Przez pierwsze tygodnie agenci u klienta tylko czytali. Handlowiec dostawał notatki, księgowa propozycje opisu faktur, planista streszczenia zamówień. Potem przyszedł moment, w którym planista powiedział: "Dobrze, że streszczasz, ale ja potrzebuję planu". I to jest moment, w którym agent musi dotknąć systemów firmy, czyli ERP, magazynu i grafiku. Tu większość wdrożeń albo ze strachu się zatrzymuje, albo z entuzjazmu robi za dużo naraz. Warstwa trzecia ma dwie zasady, które pozwalają zrobić to spokojnie.

Agent ma dokładnie uprawnienia swojego opiekuna, czyli pracownika, który za niego odpowiada

Planista produkcji ma w ERP dostęp do zamówień, stanów magazynu, dostępności części, zleceń serwisowych i grafiku pracowników. Nie ma dostępu do księgowości, kadr ani cennika. Jego agent ma dokładnie to samo. Ani jednego uprawnienia więcej. Nie dostaje osobnego konta serwisowego "dla AI" ze zbiorczymi uprawnieniami, bo takie konto to suma uprawnień wszystkich, którzy z niego korzystają, i najkrótsza droga do tego, żeby planista przez agenta zobaczył listę płac. Agent działa w kontekście swojego użytkownika, z krótkotrwałym tokenem na konkretne zadanie, a o tym, czy może coś odczytać albo zapisać, decyduje ERP, a nie model językowy. Model można przekonać, oszukać albo zmylić, system uprawnień trudniej.

To nie jest nasz wymysł. Tę samą zasadę opisują OWASP w liście ryzyk dla aplikacji z modelami językowymi i dokumentacja Microsoftu o Copilocie, która mówi wprost, że agent korzysta tylko z danych, do których użytkownik już ma dostęp, a pierwszym krokiem wdrożenia jest uporządkowanie nadmiernych udostępnień, bo agent dziedziczy bałagan w uprawnieniach razem z uprawnieniami. U naszego klienta miało to praktyczną konsekwencję: zanim planista dostał agenta z dostępem do ERP, ktoś musiał sprawdzić, czy planista nie ma przypadkiem dostępu do rzeczy, których mieć nie powinien, bo od tej chwili korzystałby z nich dużo szybciej.

Agent proponuje, człowiek zatwierdza

Planista poprosił agenta o symulację planu produkcji na przyszły tydzień. Agent przeczytał zamówienia, sprawdził magazyn, dostępność części i serwisów, wziął grafik i zaproponował trzy warianty. Pierwszy minimalizował przestoje. Drugi odciążał najbardziej obłożoną linię. Trzeci był najciekawszy, bo agent zauważył, że przesunięcie dwóch zleceń o dzień pozwala uniknąć przezbrojenia, na które planista nie wpadł. I był jeszcze czwarty wariant, który agent wygenerował w jednym z eksperymentalnych scenariuszy: linia odciążona w sto procent, zero nadgodzin, pracownicy bez obciążenia. Osiągnięty przez usunięcie całej kolejki zleceń z produkcji. Z punktu widzenia funkcji celu "odciążyć linię" plan był idealny.

Tu trzeba przypomnieć coś, co jest cechą modeli językowych, i każdy, kto decyduje o wdrożeniu AI w swojej firmie, musi to wiedzieć. HalucynacjaHallucinationOdpowiedź modelu językowego, która jest płynna i pewna siebie, ale niezgodna z faktami albo z sensem zadania. Nie da się jej całkowicie usunąć, bo wynika ze sposobu, w jaki model generuje tekst. nie jest wadą agenta, którą da się usunąć lepszym promptem. Jest jego cechą i funkcją. Ta sama zdolność do wygenerowania rozwiązania, którego nie ma w żadnej instrukcji, znalazła wariant trzeci, na który planista nie wpadł przez dziesięć lat, i wariant czwarty, który skasowałby produkcję. Model nie odróżnia jednego od drugiego, bo oba spełniają cel. Odróżnił je planista, w trzy sekundy, bo zna firmę. Dlatego agent proponuje, a człowiek zatwierdza, i to nie jest etap przejściowy, który minie, gdy modele będą lepsze. To stała architektura. Halucynacje trzeba minimalizować, co do tego nie ma sporu. My dodajemy drugą stronę: korzystaj z innego spojrzenia agenta, steruj jego kreatywnością tam, gdzie sam wyznaczysz, ale zabierz mu klawisz "zapisz".

Poziomy ryzyka i próg błędu

Zabranie klawisza "zapisz" nie oznacza, że agent nic nie robi. Oznacza, że każda jego akcja ma przypisany poziom ryzyka, a od poziomu zależy, kto i jak ją zatwierdza. Poziom zero to odczyt danych i przygotowanie propozycji, bez żadnego zatwierdzania, inaczej agent byłby bezużyteczny. Poziom pierwszy to zapis odwracalny wewnątrz firmy, na przykład roboczy plan w osobnym widoku ERP, zatwierdzany jednym kliknięciem. Poziom drugi to akcja ze skutkiem zewnętrznym albo finansowym, czyli mail do klienta, zamówienie u dostawcy albo zmiana obowiązującego planu produkcji, i wymaga zatwierdzenia przez konkretną, nazwaną osobę. Poziom trzeci to akcja nieodwracalna albo masowa, na przykład usunięcie zleceń albo zmiana cen dla wszystkich klientów, z drugim recenzentem. Poziom czwarty to decyzje o zatrudnieniu, wynagrodzeniu i kredycie kupieckim: agent może przygotować materiał, nie może podjąć decyzji.

Hiszpański regulator ochrony danych sformułował w 2026 roku jeszcze prostszą regułę dla agentów: agent nie może mieć jednocześnie trzech rzeczy, niekontrolowanego wejścia (maile od obcych, dokumenty od klientów, strony internetowe), dostępu do danych wrażliwych i możliwości wykonania akcji z realnym skutkiem. Dwie z trzech tak, trzy nigdy. Agent handlowca, który czyta maile od klientów i ma dostęp do umów, nie może więc sam wysyłać maili. Dwa głośne ataki z 2025 roku działały dokładnie dlatego, że ktoś dał agentowi wszystkie trzy. W EchoLeak jeden spreparowany mail wystarczył, żeby Microsoft 365 Copilot wyniósł dane użytkownika bez żadnego kliknięcia, a w ShadowLeak ukryte instrukcje w mailu skłoniły agenta badawczego ChatGPT do wysłania danych ze skrzynki Gmail.

Poziom ryzyka akcji to jedna oś. Druga to próg błędu, który właściciel procesu uznaje za akceptowalny, i ten próg jest parametrem swobody agenta. Dział handlowy może uznać, że przy ofertach skuteczność dziewięćdziesięciu dziewięciu procent wystarcza, żeby agent wysyłał je sam, bo jedna błędna oferta na sto to strata, ale nie katastrofa. Przy umowach ten sam odsetek jest nie do przyjęcia, bo jedna źle podpisana umowa potrafi być gwoździem do trumny całej organizacji. Chyba że umowa jest warta kilkaset złotych, a firma podpisuje ich dziesiątki tysięcy, jak operator telekomunikacyjny: wtedy pół procenta błędów nie powala firmy, tylko każe nadzorowi pilnować tej automatyzacji głębiej. Próg nie jest więc jedną liczbą dla całej firmy. Wynika z ceny pojedynczego błędu i ze skali.

Jak wygląda bramka w praktyce

Dwie uwagi praktyczne. Pierwsza: projektuj akcje tak, żeby cofnięcie było tańsze niż zatwierdzanie. Roboczy plan w osobnym widoku, który można odrzucić, jest lepszy niż pytanie o zgodę przy każdym kroku. Druga: ludzie klikają "zatwierdź" bez czytania, jeśli pytasz ich za często. Badanie narzędzi agentowych dla programistów pokazało, że użytkownicy akceptują ponad dziewięćdziesiąt procent próśb o uprawnienia. Dlatego poziom zero i pierwszy nie pytają, a bramka stoi tylko tam, gdzie boli. Nadzór, który zamienia się w kolejkę do zatwierdzeń, przestaje być nadzorem.

Roboczy widok, w którym człowiek ogląda propozycję, zanim cokolwiek się zapisze, można zbudować na dwa sposoby. Jeśli ERP albo CRM ma własny mechanizm zadań roboczych i uprawnień, agent przygotowuje w nim zadanie, a pracownik, jako jego przełożony, zatwierdza i wykonuje je w systemie, przez uprawnienia systemu, nie modelu. Wiele systemów tego jednak nie umie i każdy zapis trafia od razu do bazy, bez odwrotu. Wtedy stawiamy przed systemem własną warstwę: agent zapisuje w niej to, co chce zrobić, a pracownik dostaje czytelny raport pod to jedno zadanie, stronę, która zwykłym językiem tłumaczy, jakie dane i jakie operacje mają trafić do ERP czy CRM. Po zatwierdzeniu wykonuje je nie model, lecz deterministyczny skrypt przygotowany wcześniej przez agenta: te same kroki, za każdym razem tak samo, bez miejsca na kolejną halucynację między "tak" a zapisem. Każda propozycja, każda poprawka człowieka i każdy wynik są przy tym logowane, i to nie tylko dla audytu. Te logi są paliwem warstwy piątej.

Jest jeszcze jedna lekcja, której nie ma w poradnikach. Klarna, szwedzka firma płatnicza, ogłosiła w 2024 roku, że jej asystent AI wykonuje pracę siedmiuset pracowników obsługi klienta. W maju 2025 jej prezes powiedział Bloombergowi, że firma znów zatrudnia ludzi, bo pełne przejście na AI dało niższą jakość. Klarna nadal jest firmą postawioną na AI. Zmieniła tylko to, kto zatwierdza. Gdy jeden agent przestaje wystarczać i do pracy potrzebny jest zespół agentów z nadzorcą, zasady z tej warstwy nie znikają, tylko rozchodzą się na wszystkich członków zespołu. Opisaliśmy to w artykule o orkiestracji agentów AI.

Warstwa czwarta: ludzie budują własne narzędzia

Trzy procesy działały. Handlowiec miał notatki, księgowa opisane faktury do zatwierdzenia, planista trzy warianty planu co poniedziałek. I wtedy stało się coś, na co zarząd nie był przygotowany: reszta firmy chciała tego samego. Magazynier pytał, czy agent mógłby sprawdzać kompletność dostaw. Dział reklamacji chciał streszczeń zgłoszeń. Asystentka zarządu chciała protokołów ze spotkań. Warstwa czwarta jest odpowiedzią na ten popyt i ma dwie części.

Pierwsza to szkolenie, ale nie kurs o generatywnej AI, generowaniu obrazków i pisaniu piosenek. Pracownik nie potrzebuje całej wiedzy o AI ani jej truizmów. Potrzebuje dobranej wiedzy bazowej, czyli tego, co model potrafi, czego nie potrafi i jakie ma cechy, z halucynacją na czele, a potem warsztatu na własnych fakturach, umowach i planach, z narzędziami z warstw pierwszej i drugiej. Francuski Ipsos policzył, że tylko co piąty pracownik używający AI przeszedł jakiekolwiek szkolenie, a czterech na dziesięciu używa konta prywatnego. W Polsce nie mamy takich liczb, ale mamy argument prawny, który działa na każdy zarząd: artykuł 4 rozporządzenia o sztucznej inteligencji nakłada od lutego 2025 na firmy obowiązek dbania o kompetencje pracowników w zakresie AI. Nie ma za niego osobnej kary, ale jest obowiązkiem, a warsztat na prawdziwych zadaniach wypełnia go lepiej niż certyfikat z kursu.

Druga część jest ciekawsza: pracownicy budują własne narzędzia. Księgowa, która przez miesiąc zatwierdzała propozycje opisu faktur, wiedziała już, czego agentowi brakuje. Usiadła z czempionem i złożyła narzędzie, które sprawdza faktury kosztowe pod kątem jej własnej listy pułapek: brak numeru zamówienia, kwota niezgodna z umową ramową, dostawca, który zmienił numer konta. Nie programowała. Opisała procedurę w zwykłym tekście, krok po kroku, tak jak tłumaczyłaby ją nowej koleżance. Hiszpański bank BBVA po wdrożeniu ChatGPT dla pracowników zobaczył w pięć miesięcy ponad dwa tysiące dziewięćset własnych narzędzi zbudowanych przez pracowników, przy udziale działu prawnego, zgodności i bezpieczeństwa. To ostatnie jest kluczowe. Narzędzie księgowej nie trafia do reszty działu mailem, lecz do wewnętrznego katalogu, dostaje własną tożsamość i uprawnienia jak każdy agent w warstwie trzeciej, i przechodzi test na kilkudziesięciu fakturach z odpowiedziami, które księgowa uznała za poprawne. Dopiero wtedy używa go cały dział. To zjawisko ma już nazwę, "pracownik przynosi własnego agenta", i opisywane jest prawie wyłącznie jako zagrożenie. Jest zagrożeniem, jeśli nie ma warstw od pierwszej do trzeciej. Jeśli są, jest najtańszym działem rozwoju, jaki firma kiedykolwiek miała.

Nie wszyscy muszą budować. W praktyce w firmie są trzy poziomy: większość używa gotowych narzędzi, kilka osób je składa, a jedna lub dwie opiekują się procesem i katalogiem. Shadow AI, które na początku było listą wstydu, staje się listą pomysłów.

Warstwa piąta: firma, która uczy się z własnej pracy

Większość wdrożeń kończy się na warstwie trzeciej, w najlepszym razie czwartej, i po roku umiera. Badacze z MIT, którzy w 2025 roku przeanalizowali trzysta publicznych wdrożeń, podali, że dziewięćdziesiąt pięć procent pilotaży generatywnej AI nie dało mierzalnego wpływu na wynik firmy. Główna przyczyna to luka w uczeniu: narzędzia nie zapamiętują poprawek i po pół roku umieją tyle, co pierwszego dnia, więc ludzie wracają do ChatGPT na prywatnym koncie, który przynajmniej jest pod ręką. Francuska Sopra Steria nazwała to cmentarzem pilotów. Warstwa piąta jest odpowiedzią na ten cmentarz.

Zasada jest prosta: każda poprawka człowieka jest lekcją. Gdy planista odrzuca wariant czwarty i dopisuje "nigdy nie usuwaj zleceń z kolejki, przesuwaj je", to zdanie trafia do reguł jego agenta. Gdy księgowa po raz trzeci poprawia opis faktury od tego samego dostawcy, agent dostaje regułę o tym dostawcy. Logi z warstwy trzeciej, czyli propozycja, poprawka i wynik, są surowcem, a program destyluje z nich reguły. Microsoft pokazał w 2026 roku, jak to działa: na zbiorze stu faktur przetwarzanych dziesięć razy z rzędu, z korektami użytkowników zapisywanymi jako pamięć agenta, odsetek pól wymagających ręcznej poprawki spadł z sześćdziesięciu czterech do czterdziestu ośmiu procent. Nie cud, tylko jedna czwarta mniej pracy po dziesięciu przebiegach, bez zmiany modelu i bez programisty.

Trzy reguły naszej pętli

Nasza warstwa piąta różni się od typowej trzema regułami. Pierwsza to dwa poziomy reguł. Reguła planisty o nieusuwaniu zleceń dotyczy planowania i zostaje na jego stanowisku. Ale reguła księgowej o dostawcy, który zmienił numer konta, dotyczy wszystkich, którzy z tym dostawcą pracują, czyli także zakupów i handlowców. Takie reguły przechodzą przegląd właściciela procesu i trafiają do wszystkich agentów w firmie. System uczy się lokalnie i globalnie, ale to człowiek decyduje, co jest czym. Druga to bramka na samym uczeniu. U Microsoftu nowa wersja instrukcji agenta wchodzi automatycznie, po teście statystycznym. U nas zmiana zachowania agenta, który pracuje dla całej firmy, jest akcją poziomu drugiego z warstwy trzeciej: ktoś ją zatwierdza, bo może dotknąć wszystkich. Agent, który sam zmienia własne zasady bez nadzoru, to ten sam problem, co agent, który sam kasuje kolejkę zleceń, tylko wolniejszy.

Trzecia reguła łączy warstwę piątą z drugą: system uczy się na wzorcach, nie na danych. Reguła brzmi "przy fakturach od dostawców, którzy zmienili numer konta w ciągu ostatnich trzydziestu dni, zatrzymaj płatność do potwierdzenia telefonicznego", a nie "dostawca X zmienił konto na Y". Pamięć agentów nie jest składem dokumentów firmy, jest zbiorem lekcji, które dałoby się przeczytać na głos w kuchni bez naruszania niczyjej prywatności. Regulatorzy zgodnie akcentują ograniczanie pamięci agentów i rozdzielanie jej między użytkowników, a uczenie na wzorcach pozwala to pogodzić z pętlą uczenia.

Z poprawek rodzi się procedura

Najważniejsza rzecz, która z pracy z agentami wyłania się po kilku miesiącach, jest taka. Historia poprawek planisty, czytana od początku, jest procedurą planowania produkcji w tej konkretnej firmie. Nikt jej wcześniej nie spisał, bo była w głowie planisty i w jego arkuszu obok ERP. Teraz leży w pliku tekstowym, krok po kroku, z regułami i wyjątkami. Taki plik można oddać agentowi, który wykona go punkt po punkcie, co poniedziałek, z bramką przy każdym punkcie, który dotyka produkcji. Automatyzacja procesu okazuje się spisaniem procedury, a nie programowaniem. Ten mechanizm, w którym z procedury rodzi się plan dla orkiestratora, opisaliśmy w artykule o orkiestracji agentów, a przykład z marketingu, gdzie taka pętla sama się poprawia, w tekście o agencie, który dostał pięć procent budżetu reklamowego.

Warstwa piąta ma też dwie przyziemne składowe, bez których nie działa: pomiar i czas właściciela. Pomiar to jedna metryka biznesowa na proces, mierzona po trzydziestu i dziewięćdziesięciu dniach: czas przygotowania planu, liczba faktur opisanych bez poprawki, czas od zapytania klienta do oferty. Nie "liczba użytkowników", bo adopcja nie jest wynikiem. KPMG podaje, że sześćdziesiąt dwa procent firm, które wdrożyły AI, nie mierzy efektów, i to druga przyczyna cmentarza pilotów. Właściciel procesu dostaje godzinę w tygodniu na przegląd logów i reguł. Bez tej godziny warstwa piąta nie istnieje, bo uczenie się firmy nie jest funkcją oprogramowania. Jest nawykiem.

Ten sam wtorek, rok później

Wtorek, kwadrans po ósmej. Handlowiec otwiera na komputerze folder nowego klienta i prosi agenta o notatkę przed spotkaniem. Agent czyta umowę, korespondencję i trzy poprzednie oferty, wyciąga terminy, kary i otwarte wątki. Nazwa klienta, kwoty i NIP nigdy nie opuściły firmy, do chmury trafiła treść z zastępnikami, odpowiedź wróciła z prawdziwymi danymi. Piętro niżej księgowa zatwierdza jednym kliknięciem dwadzieścia opisanych faktur, a przy dwudziestej pierwszej agent zatrzymuje się sam, bo dostawca zmienił numer konta, i to jest reguła, którą ona sama napisała w marcu. W dziale planowania na ekranie są trzy warianty planu na przyszły tydzień i żaden z nich nie kasuje kolejki zleceń, bo agent nauczył się tego po pierwszym tygodniu. Planista wybiera drugi, dopisuje jedną uwagę, i ta uwaga za chwilę stanie się regułą.

Z zewnątrz wygląda to prawie tak samo jak rok wcześniej. Ci sami ludzie robią te same rzeczy z pomocą tych samych modeli. Różnica jest w tym, czego nie widać. Dane nie wyciekły. Każdy agent ma dokładnie uprawnienia swojego opiekuna. Każda zmiana w systemach ma podpis. Firma wie o własnych procesach więcej niż rok temu, bo po raz pierwszy ktoś je spisał, i spisał je nie konsultant, lecz jej własni pracownicy, poprawka po poprawce. A prezes, zapytany o to, gdzie są umowy jego firmy, umie odpowiedzieć. Samsung w marcu 2023 nie umiał.

Od czego zacząć w poniedziałek

Jeśli przeczytasz z tego artykułu tylko jedną sekcję, niech będzie ta. Wdrożenie AI w firmie nie zaczyna się od wyboru narzędzia ani od strategii na trzydzieści stron. Zaczyna się od pięciu rzeczy, które da się zrobić w pierwszym miesiącu, bez budżetu na konsultantów.

W pierwszym dniu przenieś wszystkich, którzy używają ChatGPT i podobnych narzędzi do pracy, na konta firmowe z umową o powierzeniu i wyłączonym trenowaniem. W pierwszym tygodniu poproś ludzi, żeby notowali powtarzalne zadania, i zapytaj bez konsekwencji, kto do czego używa dziś AI. W drugim tygodniu wybierz jeden proces, nie trzy, z jasną potrzebą, z właścicielem z imienia i nazwiska, i z odpowiedzią na pytanie, czy to zadanie dla agenta, czy dla zwykłej automatyzacji. W trzecim tygodniu postaw warstwę anonimizacji, choćby w najprostszej wersji, która wykrywa nazwy kontrahentów, kwoty i numery identyfikacyjne, i zacznij pracować na prawdziwych dokumentach. W czwartym tygodniu postaw pierwszą bramkę: agent czyta i proponuje, a jedna nazwana osoba zatwierdza. Resztę, czyli podpięcie do systemów, szkolenia, własne narzędzia i pętlę uczenia, dobuduj w kolejnych miesiącach na tym fundamencie.

I jeden sprawdzian, gdy będziesz rozmawiać z firmą wdrożeniową. Zapytaj, co proponuje zrobić z fakturami i umowami, które są pełne danych osobowych. Jeśli odpowiedź brzmi "nie wklejać ich do AI", rozmawiasz ze sprzedawcą licencji. Jeśli odpowiedź zaczyna się od słowa "anonimizacja" i kończy na tym, kto zatwierdza wynik, rozmawiasz z kimś, kto wdrażał. Tak budujemy agentów AI dla firm i tak wyglądałoby wdrożenie u Ciebie.

Ten tekst jest filarem naszej serii o agentach AI. Czym agent różni się od asystenta i chatbota, wyjaśniamy w artykule Agent AI, asystent czy chatbot?. Jak kilku agentów pracuje razem nad jednym zadaniem, pokazuje tekst Orkiestracja agentów AI. A to, co o wdrażaniu AI radzą wdrożeniowcy z Polski, Stanów, Francji i Hiszpanii, co z tego bierzemy i z czym się nie zgadzamy, zebraliśmy w osobnym tekście o dobrych praktykach wdrożenia AI.

Najczęstsze pytania o wdrożenie AI w firmie